Estafas cripto con IA: análisis forense blockchain paso a paso

El 15 noviembre 2025, un empresario español recibió un email de “Binance Support” sobre “actividad sospechosa” en su cuenta. El sitio web era idéntico píxel por píxel: logo, certificado SSL, URL casi correcta (binance-secure.invalid vs binance.com). Introdujo credenciales + código 2FA. En 4 minutos, €380.000 en Bitcoin desaparecieron hacia 15 wallets diferentes. “Pensé que era real - el email, el sitio, el dominio… todo perfecto”, declaró en comisaría.

Como perito informático forense especializado en blockchain, he analizado casos de estafas cripto en España. La IA generativa ha transformado el phishing cripto: sitios web clonados en segundos, emails hiperpersonalizados con datos reales del inversor, deepfakes de CEOs anunciando “tokens exclusivos”. Pero la blockchain nunca miente: cada transacción deja rastro forense inmutable.

Este artículo te muestra cómo funciona el análisis forense blockchain, qué evidencias son válidas en denuncias judiciales, y cómo recuperar fondos mediante trazabilidad de transacciones.

Crisis Estafas Cripto 2025: Los Números

Las estafas con criptomonedas impulsadas por IA generativa han alcanzado niveles industriales de sofisticación, y la escala del problema se mide mejor por el conjunto de los flujos ilícitos que por un recuento de estafas que nadie lleva.

Conviene empezar por lo que sí está medido, porque en este terreno circulan muchas cifras redondas sin origen. El informe de Chainalysis sobre 2025 —que mide flujos en cadena, no personas— documenta que las direcciones ilícitas recibieron al menos 154.000 millones de dólares en 2025, un 162 % más que el año anterior. Dentro de esa cifra, los actores vinculados a Corea del Norte robaron por sí solos 2.000 millones, con el asalto a Bybit de febrero de 2025 —cerca de 1.500 millones— como el mayor robo digital registrado hasta la fecha.

Dos advertencias sobre cómo leer todo esto, porque valen para cualquier estadística cripto que te encuentres:

• «Flujos ilícitos» no es «estafas». Ese total agrega ransomware, mercados ilegales, evasión de sanciones y robos a protocolos. Un reparto por modalidad que sume exactamente el total suele estar construido hacia atrás desde él.
• Nadie publica recuentos globales de víctimas por tipo de estafa. Chainalysis mide direcciones y volumen, no personas; el IC3 solo cuenta denuncias presentadas en Estados Unidos. Lo que sí es robusto es el orden: el pig butchering concentra el mayor volumen por víctima, y el phishing alcanza a muchas más personas porque su coste unitario es órdenes de magnitud menor.

En España no hay recuento de estafas cripto. Ni el Banco de España ni la CNMV llevan un registro de inversores, de wallets activas o de valor en manos españolas —y el número de wallets no es medible por definición: una sola persona puede abrir todas las que quiera y ninguna identifica a nadie—. El INCIBE, que sí publica, agrupa todo bajo «fraude online» y no desglosa criptomonedas.

Lo que sí puede hacer un inversor antes de operar, y es la comprobación más útil de este artículo, es consultar la lista de entidades no registradas que la CNMV mantiene y actualiza.

Tipos de Estafas Cripto con IA (2025)

A) Phishing con IA Generativa

Cómo funciona:

1. Clonación perfecta de Binance, Coinbase, Kraken usando herramientas IA
2. Dominios typosquatting + certificados SSL legítimos (Let’s Encrypt)
3. Emails hiperpersonalizados con scraping datos reales (LinkedIn, Twitter crypto)
4. Urgencia manufacturada: “Tu cuenta será bloqueada en 24h por actividad sospechosa”
5. Bypass 2FA: Páginas proxy en tiempo real (víctima introduce 2FA, scammer lo usa inmediatamente)

Indicadores técnicos:

• URL ligeramente diferente: binance-secure.invalid, coinbase-verify.com
• Email sender con dominio similar: support@binance-security.com
• Presión temporal extrema (menos de 24h para actuar)
• Solicitud credenciales + 2FA en misma página

B) Rug Pulls / Exit Scams

Anatomía del rug pull 2025:

1. Whitepaper profesional generado GPT-4 (indistinguible de legítimo)
2. Equipo fake con fotos IA (rostros realistas, LinkedIn fabricados)
3. Roadmap convincente con hitos técnicos creíbles
4. Smart contract con backdoor: Función oculta para drenar liquidez
5. Marketing agresivo: Influencers pagados, grupos Telegram, AMA falsos
6. Exit: Día X post-launch, función drain() ejecutada, liquidez desaparece

Caso SQUID token (2021, repetido 2025):

• $3.4M robados en 5 minutos
• Función de venta bloqueada en smart contract (solo creadores podían vender)
• Inversores atrapados, creadores vendieron todo

C) Pig Butchering (Matanza de Cerdo)

Proceso completo (6 meses promedio):

Promedio global:

• Duración: 6 meses
• Pérdida promedio: $120.000
• Tasa de recuperación: baja. No hay estadística pública que la cuantifique, y depende enteramente de que los fondos toquen un servicio con KYC antes de dispersarse

D) Pump and Dump Coordinados

Estructura:

1. Grupos privados Telegram/Discord (10K-500K miembros)
2. Membresía “VIP” (€500-5,000) para “señales pre-pump”
3. Coordinación: Organizadores compran token barato previamente
4. Señal pública: “COMPRAR X TOKEN AHORA” a miles de miembros simultáneamente
5. Pump artificial: Precio sube 300-800% en minutos
6. Dump: Organizadores venden en el pico, miembros atrapados pierden 60-90%

E) Falsos Exchanges / Wallets

Aplicaciones maliciosas en las tiendas oficiales:

• Clones perfectos de MetaMask, Trust Wallet, Coinbase Wallet
• Google Play y App Store (infiltración pre-revisión)
• Roban seed phrases al crear wallet
• Envían fondos a wallets controlados por atacantes

Casos Reales España (Anonimizados)

Caso 1: Phishing Binance IA - €380K Robados (Madrid, Noviembre 2025)

Víctima: Empresario 54 años, portfolio €650K en crypto, trader experimentado (3 años).

Ataque:

• Email perfecto: Sender security@binance-alerts.com, headers SPF/DKIM válidos
• Contenido: “Actividad sospechosa detectada desde IP Rusia. Cuenta bloqueada preventivamente. Verificar identidad en 12 horas.”
• Sitio clonado: binance-secure.invalid (typosquatting)
  • Certificado SSL legítimo (Let’s Encrypt)
  • Clon pixel-perfect del login Binance real
  • Formulario 2FA funcional (proxy tiempo real)
• Víctima introdujo: Email + contraseña + código 2FA Google Authenticator

Extracción (4 minutos):

12,8 BTC transferidos en 4 minutos:
├─ 15 direcciones de primera generación, ninguna con historial previo
├─ importes desiguales, para que ninguna salida cuadre con el total
└─ todas mueven fondos en la hora siguiente

Por qué no se publican aquí las direcciones: una dirección de Bitcoin es un identificador permanente y público. Reproducirla en un artículo divulgativo no aporta nada al lector, expone el rastro de un procedimiento y —esto importa— invita a copiarla. Si alguna vez lees un artículo forense que las incluye, cópialas en un explorador de bloques antes de creer nada: es la comprobación más barata que existe.

Investigación forense blockchain:

# Trazabilidad (pseudocódigo)
initial_tx = "<TXID de la transacción de salida de la víctima>"

# Fase 1: Rastrear primera generación (15 wallets)
first_gen = trace_transaction(initial_tx)
# 15 wallets identificados, todos mueven fondos en 1h

# Fase 2: Rastrear segunda generación (consolidación)
second_gen = []
for wallet in first_gen:
    outputs = get_wallet_outputs(wallet)
    second_gen.extend(outputs)
# 3 wallets consolidación identificados

# Fase 3: Identificar exchanges (KYC)
exchanges_detected = []
for wallet in second_gen:
    if is_exchange_wallet(wallet):
        exchange_info = identify_exchange(wallet)
        exchanges_detected.append(exchange_info)

# Resultado:
# - 2 wallets → Binance (wallet fría, KYC requerido)
# - 1 wallet → KuCoin (wallet caliente)

Por qué en este caso había margen: los fondos llegaron a dos exchanges con KYC obligatorio antes de dispersarse. Ese es el único punto de toda la cadena donde una investigación puede pedir la identificación del titular y la congelación del saldo, y explica que la ventana de las primeras horas sea decisiva: si los fondos hubieran pasado por un mezclador antes, el rastro se vuelve mucho más caro de seguir y la recuperación, improbable.

Caso 2: Rug Pull “GreenEnergyDAO” - €240K (Barcelona, Agosto 2025)

Proyecto falso:

• ICO: “Tokenización de plantas solares en blockchain Ethereum”
• Whitepaper: 42 páginas generadas GPT-4, técnicamente convincente
• Equipo fake: 8 perfiles con fotos IA (rostros realistas), LinkedIn fabricados
• Smart contract: Ethereum (verificado en Etherscan, pero backdoor oculta)
• Marketing: Influencers pagados, AMA en Twitter Spaces, grupo Telegram 15K miembros

Recaudación:

• €1.2M globalmente (47 países)
• €240K desde España (47 inversores)
• Día 18 post-launch: Exit scam ejecutado

Análisis forense smart contract:

// Función oculta en contrato (no documentada)
function mintToOwner(uint256 amount) external onlyOwner {
    _mint(owner(), amount);
}

function drain() external onlyOwner {
    uint256 balance = address(this).balance;
    payable(owner()).transfer(balance);
}

// Día 18: Transacción ejecutada
// TX: 0x8f3c...
// Función: drain()
// Gas: 21,000
// Resultado: 420 ETH (€1.2M) a wallet creador

Trazabilidad blockchain:

420 ETH extraídos:
└─ Wallet del creador (0x…)
   └─ Tornado Cash (mixer): 420 ETH en 42 depósitos de 10 ETH
      └─ Salida Tornado Cash (48h después): 6 wallets nuevos
         └─ Binance (KYC): 350 ETH depositados
         └─ Exchanges menores: 70 ETH distribuidos

Metadata forense:

• IP deployment contrato: 185.220.XXX.XXX (Ucrania, VPN NordVPN)
• Dominio proyecto: Registrado Namecheap, pago Bitcoin, WHOIS privado
• Hosting: Cloudflare (frontend), AWS (backend, cuenta robada)

Lo que decide el desenlace en un rug pull: si la salida del mezclador termina depositando en un exchange con KYC, hay una identidad y un saldo que una autoridad puede pedir. Si se dispersa en servicios sin identificación, el análisis on-chain puede reconstruir el recorrido completo y aun así no llevar a nadie. La trazabilidad y la recuperación son dos cosas distintas, y conviene decírselo al cliente el primer día.

Caso 3: pig butchering por WhatsApp — de 95.000 € a 123.000 €

Víctima: Mujer 38 años, divorciada, profesional salud, sin experiencia crypto previa.

Timeline completo:

Julio 2025 - Contacto Instagram:

• Perfil falso “Carlos” (modelo fitness, CEO startup tech)
• Comentarios en posts víctima, DM casual: “Me gusta tu perfil”
• Conversación migra a WhatsApp (+44 número UK, virtual Twilio)

Julio-Sept 2025 - Grooming (3 meses):

• Conversación diaria, mensajes buenos días/noches
• Llamadas ocasionales (voz deepfake plausible, ruido ambiente oficina)
• Construcción confianza: problemas personales compartidos, consejos vida
• Fotografías “personales” (generadas IA, consistentes con perfil)

Septiembre 2025 - Introducción Crypto:

• “Tengo un asesor de inversiones increíble que me ha hecho ganar mucho”
• “Te puedo enseñar mi estrategia, es sencilla y rentable”
• Muestra capturas dashboard con ganancias (falsas, plataforma controlada)

Septiembre-Octubre 2025 - Inversiones Progresivas:

Plataforma falsa “CryptoMaxPro”:

• Dashboard muestra: €95.000 → €187.000 (ganancias +97% en 3 semanas)
• Gráficos en tiempo real (datos falsos, sincronizados con precios reales BTC)
• Botón “Withdraw” funcional (primera vez pequeña cantidad funciona: €500)

Octubre 2025 - Exit:

• Víctima intenta retirar €50.000
• Plataforma: “Impuesto retención 15% obligatorio para montos mayores de €10K. Depositar €28,050 para procesar”
• La víctima deposita 28.000 € más para «liberar» el saldo. Ese es el segundo golpe y el que casi nadie prevé: el importe perdido deja de ser el invertido y pasa a incluir lo que se paga por intentar recuperarlo
• Cuenta bloqueada: “Error técnico, contactar soporte”
• “Carlos” desaparece: WhatsApp bloqueado, Instagram eliminado

Análisis forense:

# La ficha que se levanta de la dirección de destino
wallet_info = {
    "address": "<dirección de destino>",
    "transactions_in": 6,     # las seis de la víctima
    "transactions_out": 0,    # ninguna salida
    "balance": "íntegro",     # los fondos siguen ahí
}

# Lo que revela ese patrón: HOLDING.
# El destinatario no mueve los fondos porque sabe que cada salto es una
# oportunidad de trazarlo. Espera a que la investigación se enfríe.

Ese perfil —muchas entradas, cero salidas— es en realidad la mejor noticia posible para la víctima: mientras el saldo no se mueva, sigue habiendo margen. La monitorización de la dirección es lo primero que se configura, precisamente para que la salida hacia un servicio con KYC no pase desapercibida.

Investigación digital:

• Dominio cryptomaxpro.io: Registrado Namecheap (Julio 2025), WHOIS privado, pago Bitcoin
• Hosting: Vultr (Singapur), cuenta pagada crypto, IP 45.76.XXX.XXX
• WhatsApp: Número virtual +44 7911 XXX XXX (Twilio UK), comprado con tarjeta prepago
• Instagram: Creado junio 2025, 340 seguidores (comprados), 18 posts (fotos IA)

Qué se hace cuando el saldo no se mueve: se documenta la dirección y el importe en el informe pericial, se aporta a la denuncia y se configura una alerta sobre esa dirección. Mientras no haya salida no hay nada que congelar, pero tampoco nada perdido de forma definitiva: el margen sigue abierto y se activa el día en que los fondos toquen un servicio identificado.

Análisis Forense Blockchain: Metodología

Como perito informático forense especializado en blockchain, sigo este protocolo:

Fase 1: Recopilación de Evidencia

Documentación obligatoria:

• ✅ Capturas pantalla completas (timestamp visible):
  • Conversaciones completas (WhatsApp, Telegram, Instagram)
  • Dashboard plataforma de inversión (si aplica)
  • Emails de phishing con headers completos
• ✅ Direcciones wallet:
  • Wallet víctima (prueba propiedad: firmar mensaje con clave privada)
  • Wallet(s) scammer (destino transacciones)
• ✅ Transaction IDs (TXIDs) de TODAS las transacciones enviadas
• ✅ Timestamps exactos (UTC) de cada transacción
• ✅ Smart contracts (si rug pull):
  • Dirección contrato
  • ABI (Application Binary Interface)
  • Código fuente (si verificado en Etherscan)
• ✅ Credenciales plataforma falsa (para análisis servidor forensic)

Cadena de custodia digital:

# Hash SHA-256 de evidencia
sha256sum capturas-whatsapp.zip
# Output: d2d2d2d2d2d2d2d2d2d2d2d2d2d2d2d2...

# Timestamp certificado
openssl ts -query -data capturas-whatsapp.zip -no_nonce -sha256 -out timestamp.tsq
# Enviar a TSA (Time-Stamping Authority) para certificación

Fase 2: Trazabilidad Blockchain

Script Python trazabilidad Bitcoin:

from blockcypher import get_transaction_details, get_address_details
import networkx as nx
import matplotlib.pyplot as plt

def trace_bitcoin_transaction(txid, depth=5, min_amount_btc=0.01):
    """
    Rastrea transacción Bitcoin recursivamente
    """
    G = nx.DiGraph()
    visited = set()

    def trace_recursive(current_tx, current_depth):
        if current_depth >= depth or current_tx in visited:
            return

        visited.add(current_tx)

        try:
            tx = get_transaction_details(current_tx)

            # Analizar outputs (dónde fue el dinero)
            for output in tx['outputs']:
                if 'addresses' not in output:
                    continue

                next_wallet = output['addresses'][0]
                amount_btc = output['value'] / 100000000

                # Solo seguir montos significativos
                if amount_btc < min_amount_btc:
                    continue

                G.add_edge(current_tx[:8], next_wallet[:16], amount=amount_btc)

                # Obtener siguiente transacción desde este wallet
                wallet_info = get_address_details(next_wallet)
                if 'txrefs' in wallet_info:
                    for txref in wallet_info['txrefs'][:3]:  # Limitar a 3 siguientes
                        if txref['tx_hash'] != current_tx:
                            trace_recursive(txref['tx_hash'], current_depth + 1)

        except Exception as e:
            print(f"Error trazando {current_tx}: {e}")

    trace_recursive(txid, 0)

    # Visualizar grafo
    plt.figure(figsize=(20, 12))
    pos = nx.spring_layout(G)
    nx.draw(G, pos, with_labels=True, node_color='lightblue',
            node_size=3000, font_size=8, arrows=True)

    # Etiquetar montos
    edge_labels = nx.get_edge_attributes(G, 'amount')
    nx.draw_networkx_edge_labels(G, pos, edge_labels)

    plt.title(f"Trazabilidad Blockchain desde TX {txid[:16]}...")
    plt.savefig(f'blockchain_trace_{txid[:8]}.png', dpi=300)

    return G

# Uso — sustituir por el TXID real de la transacción de salida de la víctima
scam_txid = "<TXID>"
graph = trace_bitcoin_transaction(scam_txid, depth=5, min_amount_btc=0.1)

print(f"Wallets identificadas: {len(graph.nodes)}")
print(f"Transacciones rastreadas: {len(graph.edges)}")

Fase 3: Identificación Puntos KYC

Exchanges con KYC obligatorio (España/UE):

• ✅ Binance: KYC básico (ID + selfie), KYC avanzado (prueba domicilio)
• ✅ Coinbase: KYC obligatorio, colabora con autoridades
• ✅ Kraken: KYC Tier 2+ para fiat, cooperación judicial
• ✅ Bitstamp: Regulado UE, KYC estricto
• ✅ Bit2Me: Exchange español, regulado CNMV

Indicadores exchange en blockchain:

# Heurísticas identificación exchanges
def is_likely_exchange(wallet_address):
    wallet_info = get_address_details(wallet_address)

    # Señales exchange:
    checks = {
        "high_volume": wallet_info['total_received'] > 1000 * 100000000,  # Más de 1000 BTC recibidos
        "many_txs": wallet_info['n_tx'] > 10000,  # Más de 10K transacciones
        "round_amounts": check_round_amounts(wallet_info),  # Muchos montos redondos (0.1, 1.0, 10.0)
        "peel_chain": detect_peel_chain(wallet_info),  # No hay "peel chain" (típico mixers)
        "known_tag": wallet_address in KNOWN_EXCHANGE_WALLETS
    }

    score = sum(checks.values())
    return score >= 3, checks

# Base datos pública wallets exchanges conocidas
KNOWN_EXCHANGE_WALLETS = load_from_file("exchange_wallets_db.json")

Fase 4: Metadata y Correlación

Análisis complementario:

• IPs: Si logs disponibles (servidor scam, registros dominio)
• Geolocalización: Aproximada por nodos blockchain, servidores hosting
• WHOIS: Dominios registrados, nameservers, contactos
• Hosting providers: Abuse reports, colaboración judicial
• OSINT: Emails, teléfonos, perfiles sociales asociados

Informe pericial final (estructura):

# INFORME PERICIAL BLOCKCHAIN
## Caso: Estafa Criptomonedas [Referencia]

### 1. ANTECEDENTES
- Víctima: [Datos anonimizados]
- Fecha hechos: [Rango]
- Monto defraudado: €XXX,XXX

### 2. EVIDENCIA ANALIZADA
- X transacciones Bitcoin (TXIDs adjuntos)
- Y capturas pantalla conversaciones
- Z documentos contractuales/promesas

### 3. METODOLOGÍA
- Herramientas: Chainalysis Reactor, BlockSci, Etherscan
- Estándares: ISO/IEC 27037:2012 (Digital Evidence)
- Cadena custodia: Hashes SHA-256 certificados

### 4. TRAZABILIDAD BLOCKCHAIN
[Grafo visualización flujo fondos]

Resumen:
- Origen: [Wallet víctima]
- Destino inmediato: [Wallet scammer]
- Saltos intermedios: N wallets
- Destino final: [Exchange X, Wallet Y]

### 5. CONCLUSIONES
- Probabilidad recuperación: XX% (basado en fondos en exchanges KYC)
- Identidad scammer: [Parcial/No identificada/Identificada]
- Evidencia forense: VÁLIDA para denuncia judicial

### 6. RECOMENDACIONES
- Denuncia inmediata: Policía Nacional BCIT
- Carta rogatoria: Exchange [Nombre] para congelación fondos
- Monitorización continua: Wallets identificadas

---
Jonathan Izquierdo
Perito Informático Forense
[Fecha] [Firma digital]

Herramientas Forenses Blockchain Profesionales

Chainalysis (Líder Global)

Capacidades:

• Investigación casos alto perfil (FBI, Europol, DEA)
• Trazabilidad multi-blockchain: Bitcoin, Ethereum, USDT, Litecoin, 20+ chains
• Identificación automática: Mixers, tumblers, darknet markets, exchanges
• Base datos: 1.000+ exchanges, 500+ servicios ilícitos etiquetados
• Reactor: Visualización gráfica interactiva flujo fondos
• KYT (Know Your Transaction): Monitorización tiempo real, alertas automáticas

Casos famosos resueltos:

• Colonial Pipeline ransomware (2021): $4.4M recuperados
• Bitfinex hack (2016): $3.6B recuperados (2022)
• Silk Road 2.0: Múltiples arrests

Precio: $16.000-100.000/año (licencia enterprise)

Elliptic

Especialización: Compliance crypto + AML (Anti-Money Laundering)

Features:

• Detección wallets sancionadas (OFAC, UE, ONU)
• 250M+ wallets etiquetadas (lícitas/ilícitas/desconocidas)
• API integración exchanges (monitorización transacciones entrantes)
• Risk scoring automatizado (0-10, probabilidad fondos ilícitos)

Precio: $12.000-80.000/año

CipherTrace (Mastercard)

Cobertura: 900+ criptomonedas (incluye altcoins menores)

Especialidad: Privacy coins (Monero, Zcash)

• Análisis probabilístico (no determinista, pero útil)
• Heurísticas avanzadas para romper anonimato Monero

Precio: $15.000-120.000/año (según volumen análisis)

TRM Labs

Startup (2024 valuación $1.4B, funding de PayPal Ventures)

Ventajas:

• UX superior: Interfaz intuitiva, onboarding rápido
• Cross-chain attribution: Vincular wallets en múltiples blockchains (mismo dueño)
• API moderna: REST + GraphQL

Precio: $8.000-60.000/año (más accesible que competencia)

Herramientas Open Source (Gratuitas)

BlockSci (C++, research-grade):

# Instalación
git clone https://github.com/citp/BlockSci.git
cd BlockSci && mkdir build && cd build
cmake -DCMAKE_BUILD_TYPE=Release ..
make

# Uso (Python binding)
import blocksci
chain = blocksci.Blockchain("/path/to/blockchain/data")

# Analizar wallet
address = chain.address_from_string("<dirección a analizar>")
print(f"Balance: {address.balance()} satoshis")
print(f"Transacciones: {len(address.txes())}")

# Clustering (heurísticas co-spending)
clusters = chain.cluster_manager()
cluster = clusters.cluster_with_address(address)
print(f"Cluster size: {len(cluster.addresses)}")

Bitcoin Who’s Who: Directorio crowdsourced wallets conocidas (scams, exchanges, servicios)

Blockchain.com / Etherscan: Exploradores básicos pero potentes

• Exportar historial transacciones CSV
• API gratuita (limitada 100 req/día)

Marco Legal Español: Denunciar Estafas Crypto

Código Penal

Art. 248 (Estafa):

“Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno.”

• Pena: 1-6 años prisión si cuantía superior a €50.000
• Aplicable: Pig butchering, phishing, rug pulls

Art. 249 (Estafa agravada):

“Especial gravedad atendiendo al valor de la defraudación, medios empleados…”

• Pena: 4-8 años si cuantía superior a €250.000
• Medios tecnológicos: Agravante específico

Art. 264 (Daños informáticos):

“Borrado, destrucción, alteración, inutilización o acceso sin autorización a sistemas informáticos.”

• Aplicable SI: Hackeo wallet/exchange, no solo estafa

Art. 301 (Blanqueo de capitales):

“Adquiera, convierta o transmita bienes sabiendo que tienen su origen en actividad delictiva.”

• Aplicable: Si fondos robados movidos vía mixers (Tornado Cash, Wasabi)

Denuncia - Dónde y Cómo

Autoridades competentes:

1. Policía Nacional - BCIT (Brigada Central de Investigación Tecnológica)

   • Especialistas delitos tecnológicos
   • Coordinación Europol
   • Madrid: C/ Ramírez de Prado, 3
   • Tel: 091 (emergencias), 915 822 620 (BCIT)

2. Guardia Civil — Departamento Contra el Cibercrimen

   • Cobertura rural y provincial
   • Especialización crypto desde 2020
   • Tel: 062

3. CNMV (Comisión Nacional Mercado Valores)

   • Alertas inversiones no autorizadas
   • Lista negra exchanges sin licencia
   • Web: cnmv.es/alertasinversores

4. Europol (casos cross-border, más de €100K)

   • A través Policía Nacional / Guardia Civil
   • Cooperación internacional activa

Documentación Obligatoria

Para denuncia efectiva:

• ✅ Informe pericial blockchain (trazabilidad completa transacciones)
• ✅ Capturas pantalla conversaciones completas (WhatsApp, Telegram, email)
• ✅ TXIDs (Transaction IDs) de TODAS las transferencias crypto
• ✅ Contrato/promesas inversión (PDFs, emails, chats)
• ✅ Prueba titularidad wallet víctima:

  # Firmar mensaje con clave privada Bitcoin
  bitcoin-cli signmessage "bc1qar0..." "Soy titular de esta wallet - Denuncia 2025/XXXXX"
  # Output: firma criptográfica única

Recuperación de Fondos

Protocolo:

Estadísticas recuperación 2024-2025:

• Tasa éxito: 15-35% (según rapidez denuncia)
• Cuánto se recupera: no hay estadística pública que lo promedie. Lo que determina el resultado no es un porcentaje, sino si los fondos alcanzaron un servicio con KYC antes de dispersarse
• Tiempo promedio: 4-8 meses desde denuncia hasta recuperación
• Factor crítico: Fondos movidos a exchanges KYC (80% casos exitosos)

Caso Binance hack 2022:

• Hacker robó $570M
• 48h después: $450M recuperados (79%)
• Método: Congelación wallets + cooperación exchanges

Prevención: Checklist Anti-Scam Crypto

Antes de Invertir

Verificación exchange/plataforma:

• ✅ CNMV lista blanca: Exchange autorizado UE (cnmv.es)
• ✅ URL exacta: Verificar carácter por carácter (typosquatting común)
• ✅ Certificado SSL: HTTPS + candado verde (pero NO suficiente, scams también tienen SSL)
• ✅ Dominio antiguo: Más de 1 año registrado (WHOIS lookup)
• ✅ Reviews reales: TrustPilot, Reddit (evitar reviews falsas sitio scam)

Verificación proyecto crypto (tokens nuevos):

• ✅ Smart contract verificado: Etherscan “Contract” tab, código fuente público
• ✅ Auditoría seguridad: CertiK, SlowMist, Hacken (PDF público)
• ✅ Equipo real: LinkedIn verificados con historial, presencia pública conferencias
• ✅ Whitepaper técnico: Detalles técnicos reales, no solo marketing
• ✅ Liquidez bloqueada: Timelock smart contract (Unicrypt, Team Finance)
• ✅ Código fuente abierto: GitHub con commits históricos (no solo upload día launch)

Red Flags Inmediatas (Huir)

• 🚩 ROI garantizado (10%+ mensual, “sin riesgo”)
• 🚩 Urgencia extrema (“solo hoy”, “últimas 10 plazas”, “oferta expira 12h”)
• 🚩 Contacto no solicitado (WhatsApp/Instagram/Telegram de desconocido)
• 🚩 Equipo anónimo o fotos stock/IA sin LinkedIn verificados
• 🚩 Whitepaper genérico (copypaste otros proyectos, sin innovación)
• 🚩 Presión reclutar amigos/familiares (esquema piramidal)
• 🚩 Retiros bloqueados o “fees sorpresa” (impuestos 15%, verificación €10K)
• 🚩 Dominio reciente (menos de 3 meses, WHOIS privado)
• 🚩 Promesas celebridades (Elon Musk, Mark Cuban “recomiendan” - SIEMPRE falso)

Seguridad Operativa

Hardware wallet obligatoria (holdings importantes):

• Ledger Nano X: €149, soporte 5.500+ coins
• Trezor Model T: €219, pantalla táctil, open source
• Coldcard: €139, solo Bitcoin, máxima seguridad

Configuración segura:

# 2FA con app TOTP (nunca SMS)
# Google Authenticator, Authy, 1Password

# Seed phrase offline
# - Escribir en papel (no foto, no digital)
# - Metal backup (Cryptosteel) para protección fuego/agua
# - Múltiples copias, ubicaciones separadas

# Wallets segregadas
wallet_trading = "Hot wallet" # Pequeño monto, trading activo
wallet_holding = "Cold wallet" # Mayoría fondos, offline Ledger

Verificar direcciones completas:

# Malware clipboard puede cambiar direcciones
# SIEMPRE verificar primeros 8 + últimos 8 caracteres

address_intended = "<dirección de destino que copiaste>"
address_clipboard = get_clipboard()

if address_intended[:8] != address_clipboard[:8] or \
   address_intended[-8:] != address_clipboard[-8:]:
    print("⚠️ ALERTA: Dirección modificada por malware!")

Caso Silk Road: El Mayor Análisis Forense Blockchain

Historia:

• 2011-2013: Silk Road (marketplace darknet, drogas, armas, documentos falsos)
• Volumen: 1.200 millones de dólares en transacciones Bitcoin
• 2013: FBI cierra Silk Road, arresta Ross Ulbricht (Dread Pirate Roberts)
• Confiscación: 144.000 BTC (entonces 28 millones de dólares; hoy unos 4.300 millones)

Cómo lo rastrearon (sin Chainalysis, pre-2015):

1. Error operacional: Servidor CAPTCHA expuso IP real (Iceland)
2. Correlación timing: Timestamps transacciones vs posts forum Ulbricht
3. Patrones volumétricos: Wallets con flujo consistente + horarios USA (SF)
4. Undercover agents: Compras controladas, rastreo Bitcoin recibido
5. Ross Ulbricht errores:
   • Username “altoid” en forum Bitcoin (2011)
   • Email personal (rossulbricht@gmail.com) vinculado a altoid
   • Posts buscando PHP developer para “Bitcoin project” en Silk Road forum

Sentencia: Cadena perpetua sin posibilidad parole (2015)

Lesson forense crítica: Blockchain NUNCA es 100% anónima

• Cada transacción = registro permanente e inmutable
• Metadata (IPs, timestamps, patrones) rompe pseudonimato
• Mixers/tumblers reducen pero no eliminan trazabilidad
• KYC en rampa fiat = punto débil inevitable

Preguntas Frecuentes

¿Se pueden recuperar criptomonedas robadas?

A veces, y no por azar. La recuperación depende de una sola cosa: si los fondos llegaron a un exchange con KYC obligatorio antes de dispersarse, porque ese es el único punto donde existe una identidad y un saldo que una autoridad puede pedir. No hay una tasa media publicada, y desconfía de quien te ofrezca una: lo que sí es cierto es que la probabilidad cae con cada hora que pasa.

Factores críticos:

• ✅ Denuncia en primeras 48h (antes que fondos se muevan mucho)
• ✅ Fondos en exchanges KYC (Binance, Coinbase, Kraken)
• ✅ Informe pericial profesional (trazabilidad blockchain completa)
• ✅ Cooperación internacional (Europol si cross-border)

Caso real: €380K robados Madrid, €127K recuperados (33%) en 4 meses.

¿Cómo se rastrea una transacción Bitcoin?

Paso a paso:

1. Transaction ID (TXID): Identificador único de cada transacción
2. Blockchain explorer: Ver inputs (origen) y outputs (destino) en Blockchain.com o Blockchair
3. Rastreo recursivo: Seguir outputs hacia wallets siguientes (manualmente o con scripts)
4. Identificación exchanges: Heurísticas (alto volumen, muchas TXs, montos redondos)
5. Herramientas profesionales: Chainalysis, Elliptic (visualización gráfica automática)

Ejemplo código Python en sección “Análisis Forense Blockchain” arriba.

¿Qué es análisis forense blockchain?

Disciplina forense que aplica técnicas de investigación digital a blockchains públicas (Bitcoin, Ethereum) para:

• Rastrear flujo de fondos ilícitos
• Identificar wallets scammers y víctimas
• Correlacionar transacciones con actividad delictiva
• Producir evidencia válida para denuncias judiciales

Herramientas: Chainalysis Reactor, Elliptic, CipherTrace, BlockSci (open source)

Estándar: ISO/IEC 27037:2012 (Digital Evidence Guidelines)

¿Dónde denunciar estafas con criptomonedas en España?

Orden prioridad:

1. Policía Nacional - BCIT (Brigada Central de Investigación Tecnológica): Especialistas delitos crypto, coordinación Europol
2. Guardia Civil — Departamento Contra el Cibercrimen: Cobertura rural/provincial
3. CNMV: Alertas inversiones no autorizadas (paralelamente a denuncia penal)
4. Europol: A través BCIT o Departamento Contra el Cibercrimen si caso cross-border o más de €100K

Documentación obligatoria: Informe pericial blockchain + TXIDs + capturas conversaciones.

¿Cuánto cuesta un peritaje forense blockchain?

Precios 2026 España:

Incluye siempre: Informe pericial firmado + trazabilidad completa + cadena custodia + testificación en juicio.

Mi tarifa: €2.800-€8.500 según complejidad (consulta gratuita valoración).

¿Qué herramientas usan los peritos para rastrear crypto?

Herramientas profesionales:

• Chainalysis Reactor: Líder global ($16K-100K/año), FBI/Europol
• Elliptic: Compliance AML ($12K-80K/año)
• CipherTrace: 900+ coins incluido Monero ($15K-120K/año)
• TRM Labs: Startup, UX superior ($8K-60K/año)

Open source:

• BlockSci: Análisis científico (C++/Python)
• Bitcoin Who’s Who: Directorio wallets conocidas
• Etherscan/BscScan: Exploradores blockchain gratuitos

Como perito, uso combinación: Chainalysis (casos complejos) + BlockSci (análisis custom) + Python scripts propios.

¿Bitcoin es realmente anónimo?

NO. Bitcoin es PSEUDÓNIMO, no anónimo.

Diferencia clave:

• Anónimo: Imposible vincular transacción a identidad real
• Pseudónimo: Transacciones vinculadas a wallet address (no nombre real directamente)

Pero blockchain es pública:

• Todas las transacciones visibles eternamente
• Trazabilidad perfecta entre wallets
• Metadata (IPs, timing, patrones) rompe pseudonimato
• KYC en exchanges = identidad real vinculada a wallet

Caso Silk Road: Ross Ulbricht pensaba ser anónimo. FBI rastreó Bitcoin + metadata → cadena perpetua.

Monero/Zcash: Privacy coins con anonimato real (pero trazabilidad probabilística posible).

¿Qué exchanges son seguros en España?

Lista blanca CNMV (regulados UE):

• ✅ Bit2Me (español, regulado, KYC estricto)
• ✅ Binance (licencia UE 2024, cooperación judicial activa)
• ✅ Coinbase (USA/UE, mayor compliance)
• ✅ Kraken (veterano, seguridad máxima)
• ✅ Bitstamp (UE, 2011, sin hacks históricos)

Evitar:

• ❌ Exchanges sin licencia UE
• ❌ Promesas “sin KYC” (red flag blanqueo)
• ❌ Exchanges solo crypto-to-crypto (sin fiat)
• ❌ Dominio reciente o reviews negativas masivas

Verificar siempre: cnmv.es/alertasinversores (lista actualizada)

Conclusión

Las estafas con criptomonedas han alcanzado niveles industriales, con una IA generativa capaz de clonar un sitio entero sin un solo error de idioma y con 154.000 millones de dólares llegando a direcciones ilícitas en 2025. Pero la cadena de bloques no olvida.

Para inversores: Verificar SIEMPRE exchange (CNMV lista blanca), URL exacta carácter por carácter, equipo real con LinkedIn verificado. Hardware wallet para holdings importantes. 2FA con app, nunca SMS.

Para víctimas: denuncia inmediata (BCIT o Departamento Contra el Cibercrimen) e informe pericial que trace los fondos. El margen existe mientras los fondos estén en un servicio identificado, y se cierra cuando se dispersan. Las primeras 48 horas son las que deciden.

Para peritos forenses: Chainalysis + BlockSci + Python scripts custom. Trazabilidad recursiva hasta exchanges. Metadata (IPs, timing) complementa blockchain. Informe judicial con cadena custodia SHA-256.

Recomendación final: Si ves ROI garantizado 10%+ mensual, contacto no solicitado WhatsApp, o urgencia extrema → HUIR. Si ya fuiste víctima → DENUNCIAR YA (cada hora cuenta para recuperación).

La blockchain es transparente. Los scammers eventualmente cometen errores. La justicia tarda, pero con peritaje forense adecuado, la recuperación es posible.

Sobre el autor: Jonathan Izquierdo es perito informático forense especializado en análisis blockchain y trazabilidad de criptoactivos. Ex-CTO y arquitecto cloud con más de 20 años en el sector tecnológico y 5 certificaciones AWS, ejerce como perito judicial desde 2025 y aplica metodología ISO 27037 en todas sus investigaciones.

Última actualización: Febrero 2026

Referencias y fuentes

• Chainalysis — 2026 Crypto Crime Report, introducción — 154.000 millones de dólares recibidos por direcciones ilícitas en 2025 (+162 % interanual); 2.000 millones robados por actores vinculados a Corea del Norte, con el asalto a Bybit de febrero de 2025 —cerca de 1.500 millones— como mayor robo digital registrado. Ojo con la escala al leer el original: «billion» en inglés son mil millones, no un billón
• CNMV — Advertencias a inversores sobre entidades no registradas — Lista actualizada de chiringuitos financieros en España
• INCIBE — Balance de ciberseguridad 2025 — 45.445 incidentes de fraude online sobre 122.223 gestionados; no desglosa criptomonedas ni recibe denuncias
• Policía Nacional — Brigada Central de Investigación Tecnológica (BCIT) — Unidad especializada en delitos informáticos citada en los casos reales
• Europol — Cooperación internacional en casos de fraude con criptomonedas y recuperación de fondos
• Elliptic — Herramienta de análisis forense blockchain para screening de transacciones y due diligence
• CipherTrace — Herramienta de análisis de riesgo y cumplimiento AML/KYC en criptomonedas
• Bit2Me — Exchange español regulado por la CNMV mencionado como opción verificada